时间：2023-10-11 10:13:18
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇敏感信息安全，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
作者：王兰成 宋容 单位：南京政治学院上海分院信息管理系
有的档案部门和人员甚至因为怕泄密而人为扩大保密范围、不及时开展档案降解密和档案公布工作、忽视档案信息利用服务，这些情况导致了档案信息封闭于档案馆库高墙之内的后果，进而影响了档案信息资源的社会共享。在公众信息权益不断觉醒、社会信息资源共享需求不断增强、档案机构信息服务不断改善的今天，档案信息资源的共享利用已经成为一种大趋势。然而，值得一提的是，由于档案信息资源的特殊性，尤其是军事外交、国防科技、商业秘密、个人资料等档案信息的极端重要性和高度敏感性，以及这些信息背后错综复杂的联系，使得档案信息资源共享过程中隐藏着许多信息挖掘推理通道和泄密隐患，极容易被恶意攻击者所利用。因此，在档案信息资源共享利用的过程中，必须高度警惕和重视档案敏感信息泄露的问题，在保证档案敏感信息安全的前提下，尽可能多地实现档案信息资源社会共享。档案在信息共享方面的优势及敏感信息的安全问题以电子档案为例，档案信息资源共享与敏感信息保护的矛盾关系更为突出。在过去的十几年间，信息技术的发展使社会的方方面面都发生了深刻的变革，在档案领域的一个重要体现就是，由计算机产生和管理的电子档案大量增加，随着人类社会进一步向数字社会和信息时代迈进，这种趋势将越来越明显，越来越多的信息将为电子档案所承载，海量电子文件的归档管理与共享利用也就变得极其重要。而电子文件作为一种现代技术的伴生物，其真正的优势在于“传递—传输”[2]。换个角度，这也就是说，电子文件和电子档案在信息传输、传递，进而在知识传播、促进社会信息共享方面具有传统载体档案无可匹敌的优越性。电子档案不同于传统纸质文件的一些特性共同造就了其“传递—传输”效率优势，如大存贮量、高密度、多种信息综合集成、灵活的可操作性等，同时，电子档案与其载体介质具有可分离性，电子档案及其承载的信息可以在不同的计算机和载体之间方便地复制、传递，也可以在网络上传输、传播。人们发现，网络环境下电子档案中蕴含的大量信息和知识的充分共享利用，将对经济、社会、科技进步和人类自身发展产生巨大的促进作用，然而在便于高效快捷地处理的同时，也使得档案信息处于更大的危险之中。例如，电子文件在处理过程中易于修改、拷贝、剪切、粘贴、查询、下载、移动，且不留下痕迹，这直接影响和威胁了电子档案信息的安全性；电子文件在输入、存贮、传输和提供利用的过程中，都可能存在信息干扰、信息丢失、窃密攻击、病毒侵犯、人为破坏等不安全现象。因此，电子档案的特性决定了在其管理、利用过程中必须高度重视信息安全问题，尤其是一些电子档案信息具有高敏感性、保密性，一旦泄密将造成无法挽回的损失。综上所述，档案信息资源共享这个目标必须在安全的基础上进行，在档案信息安全领域引入隐私保护技术，探讨档案敏感信息保护问题，是协调和解决档案信息资源共享与敏感信息保护两者之间矛盾关系的一种探索和尝试。
档案敏感信息安全面临的主要威胁及保护需求
档案敏感信息面临的主要威胁档案信息内容安全是档案信息安全中的重点难点问题。钟义信认为，内容安全直接发生在信息的内核，这是它与基于密码学的信息安全问题的最大区别，后者只对信号的形式进行处理，不需要理解信息的内容[3]。按照来源，威胁因素主要可以分为两个方面：自然威胁和人为威胁。自然威胁是指不可抗力自然灾害、自然消耗损坏、环境干扰等自然因素构成的威胁；人为威胁则是由于人为过失或破坏等人为因素造成的威胁，包括档案信息资源管理者和利用者对档案信息资源的无意攻击或恶意攻击等。在造福人类的同时，信息技术的不断发展和网络的公开性对档案信息资源中敏感信息的安全构成威胁。信息化、数字化、网络化在档案领域的广泛应用，使得档案工作发生深刻变化，档案信息的存储介质由主要是纸介质发展到声、光、电、磁等多种形式介质并存，档案信息的利用方式网络化、便捷化等等，这些方面的变革，大大提升了档案工作信息化水平，也给档案工作带来了许多新情况新问题。例如，档案信息网络化建设是近几年来档案领域重要的工作内容之一，网络环境下，档案信息系统在存储、传输档案信息时极易遇到黑客攻击、病毒感染等问题，档案敏感信息有可能轻易被窃取、泄漏和篡改，这些都使得网络环境下数字化档案与传统介质档案相比，更易发生泄密问题和隐私权侵犯问题。这也是档案信息网络化共享难以推进的重要影响因素之一，因此，积极寻求解决之道，维护网络环境下档案信息安全，是档案界和计算机界面临的共同课题。档案敏感信息安全保护需求根据《涉及国家秘密的信息系统分级保护技术要求》（BMB17-2007），档案信息安全涉及到环境、设备、介质安全，备份恢复、病毒防护，身份认证、访问控制、密码保护、电磁泄露、完整性校验、安全审计、操作系统安全、数据库安全、信息安全性能检测、抗抵赖、边界防护等多个方面。而就电子文件信息安全来说，主要是指对其信息内容的保密性、完整性、可用性、可控性和不可否认性进行的安全保护[4]。本文关注档案敏感信息安全问题的侧重点在于如何应用隐私保护技术和知识技术对档案敏感信息内容本身进行保护，实际上是属于维护档案信息内容保密性的范畴，而对于完整性、可用性、可控性、不可否认性，可在对档案敏感信息资源进行隐私保护处理以后，联合运用身份认证、访问控制、存储加密、数字签名、加密传输、入侵检测、安全隔离等信息安全手段和技术，对档案敏感信息进行一个全方位、多角度的保护。这样，由于对档案敏感信息本身进行了隐私保护处理，那么即便是在突破各种防范手段非法获取了档案信息的情况下，恶意攻击者也无法知晓档案中的敏感信息。对档案敏感信息进行隐私保护处理并不影响档案信息的真实性，因为对档案信息资源进行隐私保护处理的主体是档案馆等档案工作权威机构，档案工作权威机构在对其所有的档案信息资料进行隐私保护处理以后，再经官方途径统一，或按照档案敏感信息访问控制策略提供利用，这样就能保证档案信息及其来源的真实可信。值得一提的是，我们针对档案数据库中的敏感信息保护研究[5]中，为了保护敏感信息不被泄露，会涉及到对数据库中的部分信息进行泛化、隐匿处理，一定程度上会影响档案信息的精确性和完整性，但相比较于限制、禁止开放利用所有包含敏感信息的档案信息资源这种保密处理方式而言，利用隐私保护技术将敏感信息保护起来的方式能够在保证安全的基础上，扩大和深化档案信息资源的共享利用。还有一种情况就是，目前能够或已经开放共享的档案信息资源中，可能存在一些敏感信息，恶意攻击者通过链接攻击和推理攻击等方式，能够将其挖掘出来，造成敏感信息泄露和个人隐私侵犯。如果档案馆在这些档案信息资源之前，能够对其进行隐私保护处理，就可以避免这些问题。因此，本文认为，引入隐私保护技术和知识技术对档案敏感信息本身进行处理，能够保护档案敏感信息安全，并在其基础上推进档案信息资源共享的扩展和深化。
档案信息资源共享和敏感信息保护的现实障碍和基本策略
法规标准保护法规标准保护主要可以分为法规制度保护和标准规范制约，应当重在保护档案敏感信息尤其是个人隐私信息，注重保持整个法规体系中关于个人隐私信息保护条款的统一协调，逐步颁布专门的《个人信息保护法》，加强敏感信息保护法规制度的操作性，同时，逐步完善加强档案信息安全的管理制度、技术标准、操作规范，提高整个行业对敏感信息保护工作的标准化、规范化。组织管理在组织管理策略方面，面向信息资源共享的档案敏感信息保护组织管理涉及到一个庞大的体系，包括组织重视程度，相关机构、人员、岗位设置，规章制度和管理措施落实，人员教育管理，设备设施管理，系统软件平台管理维护，经济条件保障等方面。具体而言，首先，各级各类档案人员尤其是各级领导要更新观念，提高对档案信息资源共享和敏感信息保护的重视程度，正确处理信息保密和开放利用的矛盾，加大人力、物力和财力的投入，在保护敏感信息安全的同时不断扩大档案信息资源的开放利用。其二，根据实际需要，档案馆、机关档案室可以与保密委员会或保密办公室联合设立档案敏感信息保护的相关管理机构和人员岗位，明确职责任务，具体承担档案敏感信息保护和共享利用的相关事务，对档案安全设施设备进行管理，对系统软件平台进行维护，同时抓好安全管理制度措施的制定和落实。其三，加强人员教育管理，一方面对相关领导、档案管理人员、信息技术人员，以及档案信息利用者等人员进行保密教育，尤其是安全管理操作人员、直接责任者应该具有信息安全方面的任职资格，同时坚守职业道德素质，不随意谈论和泄露组织秘密和个人隐私。另一方面，要加强前端控制，在文件形成阶段就重视做好保密工作，对形成文件和利用文件系统的所有人员进行保密教育培训，并加以纪律约束。技术保护目前，档案信息安全保护技术主要有防火墙技术、防病毒技术、加密技术、安全检测技术、安全监控技术、安全隔离技术、安全审计技术、备份恢复技术、数字签名技术、身份验证技术、访问控制技术等。我们正着重从技术保护策略的角度，对档案信息资源共享和敏感信息保护进行研究，引入隐私保护技术和本体技术，针对档案数据库和电子文件、电子档案敏感信息保护中的具体问题，分别提出面向信息资源共享的档案敏感信息保护解决方案和策略框架。
《了解21世纪IT环境的安全复杂性》调研由波耐蒙研究所在2011年2月期间独立进行，该机构对美国、英国、法国、德国以及日本的IT管理人员进行了访问。调查样本涵盖了14个行业的各种规模企业。
上述调研显示，受访者认为最常丢失的信息类型包括客户信息（52%)、知识产权（33%）、员工信息（31%）和公司计划（16%）。随着Web2.0应用程序的广泛应用和更多种类的移动设备连接到网络，企业需要执行更佳数据安全保护及IT治理，以及符合更严格的风险及法规遵从（GRC）要求。
这项调研访问了2,400多名IT安全管理人员，其结果表明数据泄密的主因是设备丢失或被盗，其次为网络攻击、不安全的移动设备、Web2.0和文件共享应用程序，以及无意地发送电子邮件给错误的收件人。此外，大约49%的受访者认为他们公司的员工对数据安全、法规及政策的意识极低甚至没有，这促使企业把提高用户意识作为数据保护策略的一部分，因为用户往往是数据安全的第一道防线。
Check Point网络安全副总裁Oded Gonda表示：“数据安全和法规遵从往往是首席信息安全官的首要工作。如果从数据泄密的成因分析，大多数事故是无心之失。为了将数据丢失防护的工作从检测转为预防，企业应该考虑将提高用户意识，并建立相应的程序，增强信息资产的可视性与控制。”
由于数据防泄密(DLP)是头号的信息安全挑战，企业了解数据泄密的起因，并建立严密的数据保护机制至为重要：
* 了解机构的数据安全需求 C 掌握并记录现存于机构内的敏感数据类型，并明确定出哪类数据类是需要管理，或者需要符合行业法规标准。
* 敏感数据分类 - 首先，创建机构敏感数据类型列表并注明敏感程度。考虑建立一个文档模板，按照公开、限制或高度机密进行归类，并提高用户对公司政策和敏感信息构成的意识。
* 根据业务需要制定安全政策 - 机构的安全策略应该在不影响最终用户的情况下保护公司的信息资产。首先，根据单个员工、组别或机构的业务需求，用简单的商业用语制定公司信息安全政策。为了更好地执行企业的信息安全政策，应该采用身份识别解决方案，以便为公司提供更多有关其用户和IT环境的可视性。
* 确保数据整个生命周期的安全 - 企业应该考虑部署数据安全解决方案，保护各种形式的敏感数据，如关联用户、数据类型和流程等，并确保其整个生命周期的安全，包括数据的存储、传输和使用。
* 消除合规负担 - 评估政府和行业的法规要求，以及它们如何影响机构的安全和业务流程。为了执行工作能一步到位，机构可考虑实施行业的最佳范例，以满足特定法规要求，如HIPAA、PCI DSS和萨班斯法案。采用最佳范例政策也使IT团队能专注法规要求以外的数据保护工作。
* 强调用户身份识别和参与 - 让用户参与到安全决策过程中。技术可以帮助教育用户了解企业的信息安全政策，并使他们能够实时补救安全事件。结合技术和身份识别使员工通过自己实践增强对风险行为的敏感度。
随着网络的建设，信息安全的不稳定因素主要体现在以下各方面：
1.客户端数量不断增多，意味着使用人员的增多。但实际情况中，许多人员并不重视自己所使用设备的安全性与可靠性，盲目的认为只要客户端可以使用，数据存在就可以，殊不知，由于不重视将造成了网络信息的严重安全隐患。
2.信息安全制度的不规范或实施不力，信息安全制度属于信息管理制度，目前主要由信息部门进行制定同时推广实施，但由于信息部门工作任务重，同时还要承担信息技术研究、开发工作，无法兼顾实施，即使制度进行了推广，但由于部门的局限性也无法得到很好的响应，就造成了安全制度的执行不力，也给网络信息安全带来严重的安全隐患。
3.客户端操作系统漏洞升级不及时及安全应用软件安装不到位，目前一般的客户端使用的均为微软的操作系统，安全应用软件为国产软件。由于军工企业一般要求内外网完全物理隔离，所以，当微软公司成批量推出操作系统漏洞补丁时，如果信息部门不及时从互联网上下载补丁同时下发，将造成客户端计算机的漏洞大量存在，形成极大的安全隐患，同时，客户端如果不按要求安装安全应用软件，也会给网络造成安全隐患。
4.企业中便携式设备管理松散，一般的军工企业中都存在一部分便携式设备，包括便携式计算机、存储设备等，虽然针对这部分设备一般企业都会制定严格的管理制度，包括使用、归还、数据拷贝等都有详细的要求描述，但由于各方面的原因，往往存在不按制度办理的情况，造成信息安全的人为隐患。
二、解决安全隐患的有效途径
以上四个问题是军工企业信息安全中常见的安全隐患问题，如何解决，将是以下讨论的重点：
1.做到制度从上到下一致执行，同时制度发行要讲究方式方法，如组织全员学习制度规范，同时真正发挥企业领导小组的职能作用；信息安全的学习与意识培养，也是重要的组成部分，只有全员信息安全意识提升，才能时所有的信息安全制度深入到各方面的工作中，同时发挥信息中心的监管作用，对网络客户端制定信息安全制度制定的定期检查工作，只有定期或不定期的排查、宣灌，才能真正的将信息安全制度推行到企业的每一个使用者，得到真正的执行。
2.由于军工企业的特殊性，在企业的园区网络中会存在大量的敏感信息，所以客户端作为使用终端，是信息流通的一个重要环节，控制敏感信息的流向与操作权限将是企业信息安全的重要组成部分。加强企业客户端的管理，安装对客户端使用行为进行管控的安全产品，制定不同客户端的响应管控安全策略，同时保证策略下发到位是企业保证信息安全的一个重要手段。安全管理人员也应重视日常客户端监控监控行为的日志分析工作，确保网络客户端的信息安全。
3.安装漏洞扫描系统，对网络进行统一的漏洞扫描，并及时安装补丁下发系统（wsus），确保网络中所有设备操作系统安全性与可靠性，防止应漏洞引起的安全问题。同时，及时对网络防病毒软件的病毒库更新升级，网络管理员在病毒库更新后要下发到全网设备，对不及时升级的设备要执行强制升级，保证网络的纯净，防止因后门或木马病毒的扩散造成的信息安全隐患。
4.加强企业中便携式设备的管理，对可以安装安全软件的设备一定要安装，同时，要对所有便携式设备统一管理，定期检查。因在便携式设备中安装文档加密软件，防止设备中的敏感信息泄漏。
【关键词】军工企业;信息安全;问题
军工企业是国家国防科技工业的重要组成部分，也是国防综合实力重要发展的企业。随着信息技术的全面发展，信息化建设已成为军工企业科研发展不可或缺的一部分，信息化的建设可以快速推进军工企业的科研、工艺等方面的技术发展，同时可提供企业决策的可靠数据，所以，军工企业的信息化可为企业提供强大的技术支撑与快捷的数据分析，提高了企业的整体竞争力。但是，由于军工企业的特殊性与保密性，在军工企业信息化建设方面，信息安全的问题尤为突出。特别是随着信息化的快速发展，军工企业一般都面临网络建设日益庞大，但信息安全的建设却无法满足网络发展的问题，这就导致网络安全日益严重的隐患，同时问题也在不断增多。
一、信息安全的不稳定因素
随着网络的建设，信息安全的不稳定因素主要体现在以下各方面：
1.客户端数量不断增多，意味着使用人员的增多。但实际情况中，许多人员并不重视自己所使用设备的安全性与可靠性，盲目的认为只要客户端可以使用，数据存在就可以，殊不知，由于不重视将造成了网络信息的严重安全隐患。
2.信息安全制度的不规范或实施不力，信息安全制度属于信息管理制度，目前主要由信息部门进行制定同时推广实施，但由于信息部门工作任务重，同时还要承担信息技术研究、开发工作，无法兼顾实施，即使制度进行了推广，但由于部门的局限性也无法得到很好的响应，就造成了安全制度的执行不力，也给网络信息安全带来严重的安全隐患。
3.客户端操作系统漏洞升级不及时及安全应用软件安装不到位，目前一般的客户端使用的均为微软的操作系统，安全应用软件为国产软件。由于军工企业一般要求内外网完全物理隔离，所以，当微软公司成批量推出操作系统漏洞补丁时，如果信息部门不及时从互联网上下载补丁同时下发，将造成客户端计算机的漏洞大量存在，形成极大的安全隐患，同时，客户端如果不按要求安装安全应用软件，也会给网络造成安全隐患。
4.企业中便携式设备管理松散，一般的军工企业中都存在一部分便携式设备，包括便携式计算机、存储设备等，虽然针对这部分设备一般企业都会制定严格的管理制度，包括使用、归还、数据拷贝等都有详细的要求描述，但由于各方面的原因，往往存在不按制度办理的情况，造成信息安全的人为隐患。
二、解决安全隐患的有效途径
以上四个问题是军工企业信息安全中常见的安全隐患问题，如何解决，将是以下讨论的重点：
1.做到制度从上到下一致执行，同时制度发行要讲究方式方法，如组织全员学习制度规范，同时真正发挥企业领导小组的职能作用;信息安全的学习与意识培养，也是重要的组成部分，只有全员信息安全意识提升，才能时所有的信息安全制度深入到各方面的工作中，同时发挥信息中心的监管作用，对网络客户端制定信息安全制度制定的定期检查工作，只有定期或不定期的排查、宣灌，才能真正的将信息安全制度推行到企业的每一个使用者，得到真正的执行。
2.由于军工企业的特殊性，在企业的园区网络中会存在大量的敏感信息，所以客户端作为使用终端，是信息流通的一个重要环节，控制敏感信息的流向与操作权限将是企业信息安全的重要组成部分。加强企业客户端的管理，安装对客户端使用行为进行管控的安全产品，制定不同客户端的响应管控安全策略，同时保证策略下发到位是企业保证信息安全的一个重要手段。安全管理人员也应重视日常客户端监控监控行为的日志分析工作，确保网络客户端的信息安全。
3.安装漏洞扫描系统，对网络进行统一的漏洞扫描，并及时安装补丁下发系统（wsus），确保网络中所有设备操作系统安全性与可靠性，防止应漏洞引起的安全问题。同时，及时对网络防病毒软件的病毒库更新升级，网络管理员在病毒库更新后要下发到全网设备，对不及时升级的设备要执行强制升级，保证网络的纯净，防止因后门或木马病毒的扩散造成的信息安全隐患。
4.加强企业中便携式设备的管理，对可以安装安全软件的设备一定要安装，同时，要对所有便携式设备统一管理，定期检查。因在便携式设备中安装文档加密软件，防止设备中的敏感信息泄漏。
5.安装必须的网络安全设备，加强网络信息安全的管理力度，同时安全管理人员应及时收集各个设备的日志，并加以分析，通过日志分析，统一规划网络的安全策略，并针对常见的安全隐患制定响应的安全策略，并对网络中存在的薄弱环节进行重点管理、重点监控。
关键词：信息安全；信息化建设；校园网
近十年来，我国的高校信息化建设步入了飞速发展阶段，各类学校官网建设、教学资源的共享、教务系统的应用、校园一卡通等信息系统的建设，成了高校信息化的展示平台和重点，信息系统在学校教务工作中占据了非常重要的地位．原本的大学信息化平台只能提供普通的通知公告、学校形象展示等功能，随着信息技术的发展，如今的大学信息化平台发生了很大变化，汇集了学校网站宣传、微信、微博账号、师生互动沟通、教学教务系统、选课评教系统、教学资源共享等功能．这些系统和信息已经成为高校重要的业务展示和应用平台．其中涉及的信息安全方面的问题日趋值得我们重视．
1高校信息安全现状
一般的高校信息化建设主要经过以下几个阶段：网络基础设施建设、旧应用系统整合、新应用系统开发等．［1］在高校信息化建设发展的同时，整体安全状况却不容乐观．高校网络应用日趋增加，网络系统越来越庞大，对外要能够抵御各种黑客攻击，负载均衡等问题，对内要解决规范网络资源使用．信息化安全是当前高校信息业务应用发展需要关注的核心和重点，而高校信息安全需要解决以下安全内容：1）操作系统安全．2）网络信息通信安全．3）网络系统信息内容安全．中国高校网站安全情况极差，根据国内信息安全公司的报告，在2012年5月，国内截获了61万个遭黑客网页挂马的网址，其中教育教学类的网址就有18万个以上．此外，根据《2013年中国高校网站安全检测报告》，高校网站的安全性在全国各类网址中，体检分数排名仅仅比倒数第一名多2分（见图1）．值得注意的是，各大学校的科研、教务网站上保存有大量的敏感数据和学生信息，如不加以重视安全保护，极易受到黑客的攻击和窃取，由此引发的高校网站被篡改、被挂马的安全事件频繁出现，最终给高校带来严重的形象及经济损失．另外，高校网站在百度、搜狗等搜索引擎中是热门关键词，由于其安全性薄弱及多方面的利益驱使，是黑客攻击并传播病毒的优先选择目标．信息安全隐患已经成为高校信息化建设过程中无法回避的问题，其严重威胁着高校信息化的推广和使用，［2］威胁着公共安全的多个方面．
2高校信息安全面临的挑战
当前，各大高校都在加大信息化平台的投入，对官网、教务管理系统进行建设，让各类教学资源联网共享，优化校内网络资源等，这些高校信息化的建设是各大高校适应当前形势发展需求而开展的，每个学校都有自己的实际情况和需求，业务开展初期没有一个宏观的规划架构，各个系统之间互不连通，数据不能同步共享、更新，这些系统的功能特性、安全需求和等级、服务的群体、所面临的风险各不相同．高校信息安全面临的挑战，主要有以下几点：1）高校官网易受到攻击：高校官网是学校重要对外交流窗口，浏览访问量巨大，又因为高校网站多为各高校自主搭建，缺乏足够的安全防范技术与措施，所以较容易引起网络黑客的攻击兴趣，黑客利用网页挂马，分布式拒绝服务攻击等方式对学校官网进行攻击，轻则造成网站响应速度变慢，重则导致访问者中毒，或者学校网站无法访问等严重后果．图2和图3分别列出了中国高校网站安全漏洞分布情况和黑客攻击高校网站技术手段分布情况．图2中国高校网站安全漏洞分布情况Fig．2DistributionofsecurityvulnerabilitiesinChinesecolleges图3黑客攻击高校网站技术手段分布情况Fig．3Hackers＇attackmethoddistribution2）高校敏感数据被入侵、篡改．高校信息中心的业务数据，包括“校园一卡通”、教务管理系统、图书馆借阅系统、精品课程资源库等，由于保存有大量学生身份证、联系电话、成绩、银行卡号、住址、学生饭卡资金等敏感信息，也成为网络黑手攻击的对象，黑客入侵修改学生成绩、学历，甚至修改毕业证信息等信息安全事件屡见不鲜．3）校园网的内部威胁．高校内部用户上网带来的威胁，包括机房、宿舍、办公楼用户等．由于信息技术发展速度较快，高校在信息安全教育方面没有跟上技术发展的步伐，导致校园上网用户对信息安全重视程度不够，缺乏信息安全保护能力和意识，通过学校局域网或者机房感染计算机病毒的概率很高，使得各种计算机病毒在校园内迅速传播，给学校内网带来安全威胁．另外，有些学生对黑客盲目崇拜，在校内尝试黑客攻击技术，也造成了一些信息安全事故．4）技术人员方面的短缺．很多高校信息管理人员缺乏成熟的管理经验，整体素质比较低，加上管理和制度上的欠缺，使得高校信息系统在运行过程中遇到入侵的概率大大增加．5）需要加大资金投入．越来越多的高校已经认识到校园信息化建设的重要性．但是，由于信息化建设的硬件投入需要较大资金，而很多高校存在资金缺口，导致安全设备硬件的缺乏，进而成为整个安全建设的短板．另外，信息化服务、信息化应用、人员培训等方面也需要大量资金，这些问题不解决，将使得高校的信息化建设失去动力支持．
3解决方案
对于高校校园网的安全建设而言，主要考虑以下几个方面：1）对整个高校的信息安全进行统一规划，建立并实施体系化的信息保障标准，实现学校门户部门公共服务网站教学资源等各类型网站的整合，简化技术维护难度，确保网站的建设质量和安全防护能力．2）全方位的进行建设，在基础层建设方面、网络层建设方面、系统集成方面、管理应用方面，多角度多层面的设计和建设安全需求．3）对涉及敏感数据的区域进行重点保护，划分重点区域，有利于集中管理．4）针对学校的业务需求，引入先进的安全硬件软件等产品，紧跟安全领域的步伐．5）定期进行校园网络体系化建设咨询，风险评估，攻击测试等活动，不断提高安全防护能力．6）信息安全建设过程中要严格遵守国家等级保护要求，结合等级化的方法来设计．7）高校信息化建设与人员的素质息息相关，在加强信息化管理的过程中，需要对校园中使用网络的人员进行安全教育和培训，提高人员的安全意识，［3］形成人人关心信息安全工作，事事重视信息安全保护的工作氛围．
4具体安全措施框架
根据高校自身系统的特点，结合等级保护相关技术要求和标准规范，笔者提出了以下解决方案（见图4）．该方案的安全措施框架是依据“防范优先，全面防御”的方针，以及“制度与技术结合”的原则，并结合等级保护基本要求进行设计，主要包括技术体系，管理体系以及安全监控体系三大方面，在核心应用系统方面使用入侵检测系统、软硬件防火墙、杀毒软件定期查杀等常用信息防范措施，保障网络业务在具有一定的安全防护能力下的正常开展．
4．1技术体系
4．1．1架构规划
划分重点保护区域、访问控制、防DDOS攻击，针对重点保护区域使用防火墙进行隔离，配置规范的访问控制权限和策略，交叉使用多家安全厂商的产品，构建严密、专业的网络安全保障体系．
4．1．2应用层面
对校内各Web应用进行入侵检测，及时修补漏洞，利用防火墙对SQL注入、跨站脚本等通过应用层的入侵动作实时阻断，并结合网页防篡改子系统，真正达到“网页防篡改”效果．
4．1．3数据层面
将校内重要的数据放置在重点保护区域，提升数据库自身的安全指数与配置，对数据库的访问权限进行严格设定，最大限度地保证数据库安全．同时，利用SAN、异地数据备份系统有效保护重要信息数据的健康度．
4．2管理体系
任何安全设施和安全产品都需要专业管理人员的审核、跟踪和维护，在安全管理体系的设计中，引入安全经验丰富和对等级保护管理要求理解清晰的专业公司，为高校量身定做符合实际的、可操作的安全管理体系．
4．3安全监控体系
4．3．1风险评估
评估和分析在网络上存在的安全技术，分析业务运作和管理方面存在的安全缺陷，调查系统现有的安全控制措施，评价当前高校的业务安全风险承担能力；聘请资深的安全专家对各种安全事件的日志、记录实时监控与分析，发现各种潜在的危险，并提供及时的修补和防御措施建议．
4．3．2渗透测试
利用网络安全扫描器、专用安全测试工具和专业的安全工程师的人工经验对网络中的核心服务器及重要的网络设备进行非破坏性质的模拟黑客攻击，提高防范意识与技术．
4．3．3应急响应
针对信息系统危机状况的紧急响应设有预案，当信息系统发生意外的突发安全事件时，可以提供紧急的救援措施．通过以上方案的实施，学校业务系统得到安全保障，高校科研、教务、学籍等重要数据免受黑客入侵威胁．高校官网抗攻击性得到加强，在遭受一般的网络攻击下能持续提供网络服务，并检测攻击出处．规范校内用户的上网行为，提高校内用户的整体信息安全意识，提高了网络利用率，减少了内部的网络攻击．另外能逐步完善安全制度并提升管理人员素质．因此该系统的建设能够满足当前高校网络系统的要求．
5结语
当前高校网络系统是一个不断发展壮大的多功能复杂系统，在提供日常的教务管理、学校宣传的同时，也面临着越来越复杂的信息安全威胁，网络技术不断发展的同时，现有的系统自身的漏洞与弱点也会不断被发现，信息安全风险日益突出，成为当前高职院校中信息化建设过程中必须面对与亟待解决的问题．信息化建设和发展对于高校未来的教育工作有着非常重要的现实意义，因此，需要加大资金投入，保证校园向着信息化方向发展，［4］以信息安全为出发点，将系统从项目立项开始就纳入管理范畴，从而实现对高校信息系统的有效管理．［5］在高校信息化建设中实施信息安全保护建设工作有利于提高全校的信息系统安全建设水平，能不断的同步建设各种信息安全设施，让信息化建设与信息安全同步发展，能提供全面的并有针对性的信息系统安全建设，降低网络系统建设成本，有利于优化信息安全资源配置，保护信息系统分类，确保高校信息平台的安全运行．
作者:聂晶 单位:南宁职业技术学院
［参考文献］
［1］于莉洁，王松盛，唐丽华，等．高校信息化建设中的信息安全问题研究［J］．信息安全与技术，2016（3）．
［2］赵欢，陈熙．高校信息安全体系的研究与实现［J］．中国教育信息化，2013（13）．
［3］谭博．高校信息化建设进程中信息安全问题成因及对策探析［J］．信息与电脑：理论版，2016（11）．
[关键词]ZigBee POS 信息安全
中图分类号：X913.2 文献标识码：A 文章编号：1009-914X（2016）03-0080-02
ZigBee技术在WSN（无线传感器网络）和物联网应用的提出已经有很多年了，并且ZigBee在智能化信息管理、电子收费系统、自动化控制监测和军用智能无人机器方面有广阔的市场前景。WSN网络和物联网通信技术的不成熟、软硬件标准的不统一，信息安全方面特别是信息安全技术的敏感性和各个研发单位的安全技术保密的不成熟，而ZigBee网具有很强的安全、稳定性能，可以有效的解决这一难题。由于ZigBee无线网应用极其广泛，选取POS收费系统应用作为具体研究对象，而且将ZigBee技术应用在POS收费系统上本身也是个研究前沿。所以，对确立在STM32单片机基础上，基于ZigBee无线网络的POS机信息安全问题进行整体的初步探讨，以期起到抛砖引玉的作用。
1 基于ZigBee无线网的POS系统信息安全环境
1.1 ZigBee网POS系统环境配置
具有安全特性的高性能、低功耗、自组网的ZigBee组网是当今WSN和物联网RFID技术组合的主流高新技术之一，相比蓝牙、Wi-Fi和GPRS，ZigBee组网更具有特别的安全性；而STM32单片机高效能、高可靠、低成本和技术成熟，还可以实现51单片机不能完成的复杂功能用途，是很有发展前途的一款单片机。因此，STM32单片机是安全、稳定的ZigBee组网节点的恰当选择。μC/OSⅡ操作系统具有执行效率高、空间占用小、多任务、可扩展能力强和稳定可靠的特点，符合WSN的信息安全稳定工作要求。建立在STM32单片机、ZigBee组网和μC/OSⅡ操作系统基础上的软硬件系统是建立低成本、高可靠、高安全的无线网的必要条件。将无线网络信息安全建立在使用STM32单片机、基于ZigBee组网和μC/OSⅡ等实时操作系统上的POS系统环境，相比建立在基于51单片机裸机上的ZigBee组网的POS系统环境，安全度更高更可靠。
1.2 ZigBee无线网的安全特性
ZigBee无线网是一种短距离、低功耗、自组网和高安全性的高新无线通信网络，由一个高性能的FFD（全功能节点）和多个的RFD（精简功能节点）组成PAN（私人用局域网）。只能有FFD建立PAN网，由多个PAN网建立整个ZigBee组网。万一有FFD被击毁，可以由临近有效范围的FFD自动重新组网；当孤立的RFD不在FFD范围内，可以通过其他附近的FFD加入PAN网，灵活性和稳定性很高。由于ZigBee无线网的有群集性多跳性，定位节点位置是技术难题，就需要再组合GPS应用模块进行补充，
1.3 ZigBee无线网安全的关键技术
ZigBee的无线通信安全的关键是通信协议，ZigBee协议规范提供了信任中心、网络层安全和APS层安全，不提供链路层安全。ZigBee遵守IEEE802.15.4协议，并可以在简单的IEEE802.15.4协议基础上开发简单的WSN应用协议，用于建立小规模简易局域网如星型网。甚至在此基础上自行开发大规模复杂的协议栈，比如用于智能家居自动监控系统的Mesh网。还可以创新多种功能的应用程序和系统软件。我们甚至可以把开发出来的有安全保护的协议栈固化到芯片中去，使用AES协处理器实现信息的硬件加密加速的功能，而我们的软件只需要设计一个自己的API接口就行。
1.4 ZigBee无线网的POS系统信息安全架构
针对ZigBee组网的POS系统信息安全问题，从上层到底层可分为：操作安全、网络安全、软件算法安全、底层硬件安全。操作安全要求有一套严格的操作规章制度，禁止未授权人非法使用、越权使用。网络安全要求网路的安全，包括接入点安全和网络协议族安全。软件算法安全最重要也很复杂，包括各种加解密算法安全、电子签名和身份认证。底层硬件安全包括、POS机安全和意外安全。
2 基于ZigBee无线网的POS系统软件算法安全及算法比较
身份认证可以使用不对称加密算法和对称加密算法，一般应使用不对称加密的RAS算法。使用预定好的密钥进行身份认证，身份认证成功后，对存储器的任何操作都是加密的。身份认证共有三轮，如图，流程为： 第一轮：a） 读写器指定要访问的存储区，并选择预定密钥A 或B。b） 射频卡从位块读取密钥和访问条件。然后，射频卡向读写器发送随机数。第二轮：c） 读写器利用密钥和随机数计算回应值。回应值连同读写器的随机数，发送给射频卡。d） 射频卡通过与自己的随机数比较，验证读写器的回应值，再计算回应值并发送。第三轮：读写器通过比较，验证射频卡的回应值，正确后才能对卡进行读写操作。这样认证加密后，就有效的保护了个人隐私。身份认证成功后，读写器/芯片指定后续读取的存储器位置，数据加密采用TEA、DES、AES等。为保证终端设备的安全，必须一卡一码，并且每次只能对一张卡操作。认证完成后才能进行卡的读写操作，每次只能有一张卡选中，获得认证后进行读写操作，其他的卡则进入休眠态，以保证不会出现由串卡现象引起的误操作。射频卡读写器的安全软件由生产商配备，并且通常要固化到硬件。
RSA算法的难度在于如何产生密钥对，RSA生成公钥的方法：任意选两个大素数M、N，选择一个加密密钥E，使E不是（M-1）和（N-1）的因子；
生成私钥D的公式：（D*E）MOD（P-1）*（Q-1）=1；
用公钥E加密公式：CT=PTEMOD（M*N）；
用私钥D解密公式：PT=CTDMOD（M*N）。
在ZigBee网中，对于敏感性信息的安全保护没有太高要求的应用领域，在32位CPU或MPU处理器主频80Mhz情况下，使用对称加密方法的DES，加解密的速度为26.75Mbyte/s， 加解密的速度水平较高。如强化安全性能可以升级为更先进对称加密方法的AES，如使用AES加解密，加解密的速度11.69Mbyte/s， 加解密的速度水平中等，比前者慢。
在ZigBee网中，对于敏感性信息的安全保护有很高要求的领域，特别是在财务、金融和军用领域，必须要保证身份认证和数据信息的绝对安全。所以，算法必须使用复杂加密方法RSA，并配合数字签名。在32位CPU或MPU处理器主频80MHz情况下，1M的 RSA 签名次数 32 次/秒，认证次数 32 次/秒，正所谓慢工出细活。RSA使用公钥密钥对机制，再配合数字认证可避免中间人攻击，这对于开放性更强的无线网络尤为重要。如果采用对称密钥算法，密钥容易被入侵者截获，对收发双方进行欺骗并非法获利。并且RSA伸缩性更好，所需密钥数与消息交换参与者个数相等。而对称加密算法容易受到中间人攻击，密码会被盗用；并且一旦网络规模加大，密钥对的数目的需求成指数级别增长，是消息交换参与者个数的平方，在密钥发放过程中很容易泄密。因此，身份认证应采用安全度更高但速度慢的RSA；经常大量的数据包加密采用速度快的DES或AES，并可用ZigBee节点自带的AES协处理器进行硬件加速。若要进一步加速数据包加解密速度，可以将主节点与上位机的串行数据接口改为高速的USB接口，就可加快加解密速度。以下简述AES的应用程序设计。
3 POS系统的ZigBee网络安全
在TCP/IP各层数据安全中，ZigBee的网络数据信息安全的数据安全主要特点有：非法网络节点的过滤和无线网信息加密，可有效避免网络的非法入侵。通过IEEE802.15.4协议栈的应用库，例如如在基于MAC协议栈的MAC库API上，通过建立PAN网，每个PAN都有独有的PAN地址ID，这样就可通过PAN网ID和节点ID过滤来区分ZigBee网节点的合法性。在发送和接收数据包过程中，通过AES算法来加密来实现数据的信息安全。
据最新报道，AES加密算法已被国外顶尖专家破解，但是也不必惊慌，对于绝大多数情况下，附加其他综合安全措施，它目前还是很安全。AES高级加密标准（Rijndael算法）明文分块和密钥为可变长，加密的轮数为可变次，每一轮4步：第一步：使用S盒技术进行字节替换。第二步移行，第一行不变，其他的行移动可变次数。第三步混合列。第四步，轮密钥加法，将密钥与输入的字符进行字节异或操作。其中的可变部分由用户自行确定后，生成的密文更难破译。
此外，网络接入点的防火墙也很重要，防火墙保护可信任内部网络免受不可信网络的入侵威胁，能极大地提高政府部门、企业内部网络的信息安全，同时允许信任的双方通信，并通过过滤不安全的网络服务而降低风险。ZigBee无线网的接入点也必须要有完备的防火墙设置，采用路由器相互认证、地址翻译等方法，方可有效防止假冒的路由器接入内网和非法截取私有敏感数据，以确保无线网的信息安全。
在以STM32单片机为节点的ZigBee无线网，可加载GPS卫星定位模块，将关键的可读写的FFD节点中嵌入GPS模块并且全部定好位，并将地址上传到主控机节点，而执行多跳的RFD节点不加载GPS模块，以减少信息安全成本。这样，凡是不在正确的GPS位置的非法入侵FFD节点一律无法加入ZigBee网并且会导致启动入侵报警程序。
4 POS系统硬件安全
由于是无线网，ZigBee网的安装和POS机入网离网非常方便，易于随身携带，比固定POS机好保管、防盗。在POS机内置高容量缓存，可暂时保存网络通信延迟信息。内置后备供电池，防止突发停电。配置后备存储器，暂时断网后可脱机保存消费信息。
5 结束语
基于ZigBee无线网的POS系统信息安全不仅要有严密的安全算法，健全的软、硬件和网络安全环境也起了不可替代的作用。此外，无线网信息安全应当考虑到加解密算法的安全性能、成本和时间的平衡点，寻求安全、低价和快速的实施方案。有有效的方法就是：首先，身份认证采用安全度更高但速度慢的RSA算法，极度敏感数据采用加载GPS模块的STM32单片机来定位入侵；其次，经常大量的数据包加密采用安全度较低但速度快的AES算法，并采用低价、高效和低功耗的STM32单片机为节点的ZigBee无线网，使用AES协处理器加速加解密处理；第三，ZigBee无线网组网的FFD节点加载GPS定位模块，并登记GPS地址到主控机，解决ZigBee节点的准确定位问题，防止非法节点冒名顶替和准确定位入侵者。 最后，ZigBee无线网的接入点必须采用防火墙。只有软硬件互相配合和严格的安全管理，才能保证基于ZigBee无线网的POS系统信息安全万无一失。
参考文献
[1] 杨宗德，张兵 μC/OS-Ⅱ标准教程 人民邮电出版社2009.5： 5-6.
[2] Klaus Finkenzeller RFID-Handbuch 电子工业出版社2006.10：218-228.
一、统筹规划，突出重点，全面夯实信息系统安全运行基础
1、不断推进关区网络准入管理工作。网络准入是2011年我关重点科技项目之一，我科对现有的客户端安全监控系统（eCop）进行功能升级，以最小的资金投入和管理成本实现关区网络准入功能，确保只有经过总关技术处审批、并且符合各项安全要求的信息化设备才能正常使用青岛海关网络，补全关区信息安全管理工作的一块短板，为我关网络提供强有力的安全保障。目前关区业务管理网已经全部实施了网络准入，业务运行网正在逐步部署，预计明年初完成。
2、彻底完成业务管理网安全域划分工作。按照国家关于等级保护的安全要求和海关总署的统一部署，在袁进军副处长的指挥下，我科牵头网络科、系统科、开发科组建工作组，花大力气，用半年多时间，将重要应用系统的服务器移入保护区，只对微机开放HTTP端口，极大降低关键服务器受病毒影响、越权访问、数据外泄等方面的风险，彻底完成了管理网安全域的划分工作。工作组按照总署的统一要求、结合关区网络现状，充分论证、细化实施方案，将整个工作分成4个步骤，一是部署防火墙划分安全域，二是将服务器全部移至过渡区，三是对服务器访问策略进行彻底梳理，四是调整网络参数将服务器逐台移入保护区；制定了周密的应急预案，将大部分网络调整的操作安排在工余时间。同时，将新增的防火墙加入我关防火墙集中日志系统，实现网络日志记录功能，并同步制定《管理网服务器保护区网络访问策略变更工作规范》、《管理网服务器安全域划分后运维管理工作规范》等日常工作制度。在实施过程中，工作组攻克多个技术难点：对47台服务器逐台梳理网络关联、分析网络访问记录达百万条；钻研虚拟化技术，解决部分应用系统使用高危端口提供服务的问题；重新规范技术人员运维模式和业务人员对敏感数据库的访问方式。管理网安全域的划分，提高了青岛关区信息系统的可用性，今后将在关区信息系统安全运行工作中发挥至关重要的作用。
3、对敏感岗位计算机实施重点保护。为加强敏感岗位计算机在越权访问、数据泄露、病毒入侵等方面的自我防护能力，我科经充分测试评估，启用瑞星防病毒软件的个人防火墙功能，提升关区业务管理网内敏感岗位计算机的安全保护级别。目前已对关领导、办公室、人事处、财务处55台敏感岗位微机实施了保护，受到了预期的效果。
4、完成防病毒产品的换型和升级工作。在管理网、互联网部署了瑞星防病毒软件，运行网服务器也完成了KILL软件升级。升级入侵检测系统，在运行网及管理网的核心交换机部署了两台千兆入侵检测引擎，用于监控关键服务器的网络数据包；调整我关入侵检测系统策略，将管理网和运行网的DNS服务器纳入监控范围；开展专项木马查杀工作，在2台服务器、3台微机查杀了木马病毒。加强日常监控，提升关区网络内病毒、木马等恶意软件的防范能力。
5、充分发挥在线应用监控系统的功效，提高安全运行保障能力。不断利用在线应用监控系统对新增项目进行运行监控，持续优化监控参数。截至目前共对43个在线应用项目的614个故障点进行了监控，平均每分钟发出63.4次监控请求，日均报警2.9次。保障第一时间发现运行异常、准确定位故障点并及时处理。
二、充分发挥管理职能，保障关区信息系统安全运行
1、进行关区安全扫描评估工作。我科不断完善安全扫描评估机制，每半年进行一次安全扫描。微机方面重点包括客户端安全软件（eCop）安装、弱口令、防病毒软件的安装、补丁更新、计算机命名规范等五方面的内容，运行网、管理网微机符合安全要求的比例分别为90.8%和85.3%。绝大部分单位评分在90分以上，客户端微机的安全状况良好。服务器方面发现28台服务器共计51个高危漏洞、管理网qdc域共332个用户存在弱口令。安全扫描通报并组织整改。
2、紧急应对conficker病毒。与系统科一起对管理网conficker病毒进行专项查杀，利用ids系统、瑞星软件定位染毒计算机，使用域策略配合专杀工具定期进行全网杀毒。积极向总署汇报该病毒的处理过程和效果，配合信息中心在全国海关网络中查杀该病毒。在国庆期间，我们针对conficker病毒的传播途径进行重点监控、保障敏感时期信息系统安全稳定运行。
3、不断加强信息安全宣传工作。编写并发表了“管理网安全域划分、国庆期间关区信息系统安全保障、提升敏感岗位微机的安全保护级别”等三个工作简报，平时注意工作信息的编写，不断提升信息安全工作在关区的认知度。
4、配合办公室完成安全保密相关工作。协助省安全厅检查组对我关进行网络安全保密检查，经各级检查组多次抽查，我关、我处均未发现安全保密违规事件。配合办公室完成红机网分级保护测评工作。参与办公室关于“办公网保密管理规定”的工作会议，就系统管理、客户端维护、安全管理、网络管理等相关工作的分工进行充分讨论、沟通，最终达成一致意见。
5、继续普及并强化关员信息安全意识。通过对各单位各部门信息安全管理员进行培训、组织信息安全自查、操作指引、通报安全扫描情况等方式多角度、全方面地普及并强化关区用户的信息安全意识。
三、常抓不懈，不断排查信息安全隐患
1、外联网油气化系统服务器对企业端开放了所有端口，可能导致互联网病毒传入和非法入侵。组织有关科室确定正常服务端口，并进行网络访问控制。
2、财务处互联网网上银行业务用微机原本在单独子网进行访问控制，大楼装修后未进行子网划分。提醒有关科室及时处理。
3、关于VPN访问网上办公系统身份信息混淆的安全隐患，向政信科反映，建议其立即排除故障。
4、发现并排除SCA机房光纤接入单点故障。
5、处内督察时发现新疆路网络机房温湿度不符合机房环境要求，建议网络科排除隐患。
6、发现短信平台工余时间故障无法及时通知维护人员。与通信科合作，在oam系统中将短信平台的报警由短信方式改为拨通手机方式，排除该隐患。
四、服务关区各项改革，积极参与重点科技项目开发
1、组织人事管理信息平台二期项目开发工作。
青岛海关人事信息平台是以总署人事管理信息系统（CCHRS）数据库为基础，在HB2004系统下授权运行，以人事信息综合查询、人事信息标准化采集、人力资源分析等功能为核心，按照“公开、效能、简便”的原则，科学整合原有的领导干部网上考核、后备干部管理等系统，新开发人事信息综合查询、人事信息标准化采集、人力资源现状分析、人力资源量化测算、工资管理、离岗管理、网上投票等系统，搭建的统一的青岛海关人力资源管理信息平台。该系统是关区人事部门组织开展工作、强化管理监督的管理操作平台，是一个关区广大关员了解关区干部人事工作和个人基本信息的信息查询平台，同时也是关区各级领导班子和领导干部研究部署工作的人事辅助决策平台。
2、升级公务员考试录用面试系统。该系统改变了面试考官、人事处管理人员纸面评分、汇总、统计的工作方式，大大提高了考生招录的效率和质量。
3、抽调总署进行科技项目设计、开发工作。苗伟彬借调到总署人教司，参与总署人事管理信息系统二期的设计工作，从需求提出到系统设计，提出了许多建设性的意见和建议；并对署管干部年度考核系统进行了安全加固，修复了SQL注入攻击、XSS跨站攻击等多种安全漏洞，提高了系统的安全性。
4、升级网上考核系统。人事处对领导班子和班子成员年度考核办法进行了大幅度的调整，政治部办公室年内调整了基层考核指标和计分方式。为了适应新的考核模式，组织人员对网上考核系统进行了全面改造和升级。
5、参与H2010工程安全运行组集中工作。委派王璐参加总署H2010工程安全运行组集中工作，负责编写《海关信息系统安全审计系统建设方案》中主机审计部分。
五、存在的不足
回顾全年工作，感觉在技术创新、争取总署项目试点方面尚存在不足，今后需着力加强。
六、明年工作打算
1、在业务运行网完成网络准入功能的部署。
2、稳步推进，实施管理网移动存储介质专网专用。
3、部署防病毒网关产品，进一步加强关区网络病毒防范能力。
4、加强关区信息安全培训，不断提高关员信息安全意识，提升自身安全技术水平。
【关键词】电力企业；信息安全；桌面管控技术
引言
随着信息技术的发展，信息系统的深入应用，信息安全成为国家电力企业信息化的重要工作内容。由于桌面终端和用户的数量多，从而容易带来信息安全隐患，致使信息管理部门难以开展工作。近几年，多数电力企业制定了对桌面的管理制度，统一了桌面终端管理系统。但是，如何将管理制度落实到实际工作中并将现有的技术应用到桌面信息安全管理，还需要不断的深入研究与实践。
1桌面终端信息安全管理现状
近几年，我国电力企业提出了信息安全的八不准和五禁止，由于电力企业提出上述措施，有利于各企业桌面终端系统信息安全工作的顺利开展，大力推广了桌面终端管理系统的应用，对非法接入外网实施了有效的监控，提升了对移动储存介质的管理。但根据桌面终端管理系统的相关数据显示，还没有达到对信息安全的要求，仍然存在很多问题，致使信息管理部门的工作难以开展[1]。因此必须要立足于桌面管控技术全面的提升电力企业信息安全水平，从而有效的保障电力企业的信息安全。
2桌面终端存在的问题
目前，桌面终端主要存在以下几个方面的问题：①接入外网时计算机感染病毒，特别是由于移动储存介质最容易感染，而且传播的速度极快；②部分员工利用电子邮件办公时，电子邮件里会出现一些敏感字体；③非法接入外网现象始终存在，桌面终端的口令设置较弱；④桌面终端补丁更新率、桌面终端注册率和杀毒软件安装率较低，没有达到企业的标准。致使以上问题出现的原因有：①对信息安全的管理力度不够，没有将其归入对信息管理部门工作人员的考核中，没有将现有的桌面管控技术手段深入应用；②对信息安全管理的要求较为分散，没有统一的管理标准，虽然通过各种方式开展宣传，但是仅对信息管理部门的工作人员有用，其他部门员工对信息安全的认知度不够[2]；③部分员工信息安全意识淡薄，没有将信息安全管理的要求落实到实际工作中，认为信息安全可有可无，存在无所谓的心理。
3桌面管理及提升技术的措施
3.1桌面管理措施
3.1.1计算机安装流程标准化电力企业中，所有新购买的计算机统一由信息管理部门安装杀毒软件和操作系统。修补系统中存在的漏洞，注册桌面系统的新端口，初始开机口令的设置要符合国家统一的标准。只有完成以上流程，才能下发给网络用户并接入网络，严格把控好信息设备的安全性，从根源上消除桌面信息安全隐患。3.1.2完善管理制度企业应制定统一的管理制度，落实好信息管理部门的工作内容，其工作内容包括：信息设备的损坏修理、安装、领用、验收及信息的来源。由于笔记本计算机容易感染其他网络端口的病毒，出现重装系统的问题，致使管理人员不易管理，对此不允许接入其他网络，从制度的根本上确保企业内所有的联网端口都是由信息管理部门负责。除此之外，统一订购带有企业标志的移动储存介质，工作人员在领用时必须签字，待离职时交还信息管理部门。3.1.3提高工作人员信息安全意识由于工作人员的信息安全意识淡薄，不了解企业对信息安全的要求，还没有掌握信息安全的技术，这些都成为信息潜在的安全隐患，对此，加大对员工信息安全意识的培训力度显得至关重要。工作人员的信息安全意识应从第一天入职的时候就加以重视，培训人员要全方面的开展对新入职员工的培训，包括：技术手段、管理制度、信息安全意识、对信息保密等。培训之后，可以实施对信息安全有关知识和技术手段的考核[3]。除此之外，给员工配备计算机时，要给员工讲解使用的要求及注意事项，且让其签字。通过信息安全培训，使工作人员掌握桌面管控的相关知识和信息安全知识，提高了工作人员的信息安全技术水平和职业素养及其安全意识，给信息安全提供了强有力的技术支撑。3.1.4强化外网终端接入流程管理各地区电力企业的外网桌面终端接入要严格遵守内网终端接入的标准流程，电力企业外网终端接入需要由企业管理人员向协同办公系统签报流程提报申请，经外网管理部门领导审批后转发信通分公司，再由企业的网控室调整终端准入账号、分配IP地址，并根据各企业的具体情况派发终端，由运维人员将符合入网条件的外网终端入网并进行安装调试，再由网控室进行检查，确定是否达到入网的标准，如果没有达到标准要及时修改，值班人员需进行回访，将工作单及时归档[4]。具体的申请流程详见图1。
3.2提升桌面管理技术的措施
3.2.1定期检查、维护信息安全使用扫描设备对企业整个网络系统进行扫描，对出现的问题及漏洞及时解决，一旦发现有桌面终端不符合基线要求，可以通过北信源程序下发符合基线要求的方法，保证桌面终端达到基线的要求。信息管理部门的工作人员要定期检查桌面终端及控制系统的各项数据，出现异常要及时解决，逐步提升信息安全水平。3.2.2加固桌面终端由信息管理部门统一分配终端，完成对使用软件和操作系统的安装，并对桌面终端进行加固。接入网络时，严格按照企业制定的桌面管理系统和准入要求执行，安装必要的杀毒软件及办公软件。对于没有注册和没有安装杀毒软件的设备采取强制下线措施，对带有敏感字的文档给予提醒，以此保证杀毒软件的安装率和桌面终端的注册率。内、外网的桌面终端在接入后，需由信息管理部门工作人员绑定接入交换机，将没有使用到的端口关闭，预防其他用户非法侵入[5]。3.2.3使用桌面终端系统的监控功能除了可以使用桌面终端管理系统的非法接入外网、警告口令设置低、杀毒软件的安装率和桌面终端的注册率之外，该系统中还有控制的功能，可以通过控制功能，杜绝桌面终端用户的不安全行为。例如通过硬件资源管理中的控制系统，在特定的区域内禁止使用蓝牙设备与红外线设备。有利于防范终端用户使用信息内网接连计算机，有效解决了违规接入外网。3.2.4使用北信源系统在北信源系统（见图2）中可以采用硬件设备控制，通过设备控制禁止使用蓝牙设备和红外线设备；采用进程监控功能，防止无线网卡设备的侵入；设置防火墙，只允许桌面终端访问企业内部网址；将IP与MAC绑定，严禁使用用冗余网卡，防止修改IP与网关，以防发生违规外联事件；实施文件动态监控、文件内容检查和终端检查，确保敏感信息检查执行率及保密检测系统安装率指标水平。
4结语
21世纪以来，传统的桌面终端管理模式已经无法适应社会的需求，不能安全有效地管控桌面终端。通过企业制定的桌面管理制度和桌面终端管理系统，提升了桌面管控技术，使桌面终端的工作流程规范化，在提升信息安全的同时，也提高了工作人员的桌面安全管理意识。在电力企业中采用桌面管控技术来提升信息安全，还需要不断地实践与探索，只有坚持不懈，才能使企业保持信息安全，走可持续发展道路。
参考文献:
[1]姚玮.电力企业信息安全全生命周期管控[J].电力信息与通信技术，2015（08）.
[2]马之力，张驯，崔阿军，袁晖.电网企业网络准入体系设计与应用[J].电力信息与通信技术，2015（05）.
[3]陶明峰，刘志刚，徐胜朋，邢艺欣，袭建学.市县级电力公司网络一体化管理设计与研究[J].电力信息与通信技术，2015（05）.
[4]吴石松，刘晔.电力企业桌面终端安全管理应用研究[J].现代计算机（专业版），2013（36）.
大数据（BigData）本身是一个比较抽象的概念，至今尚未有一个公认的定义。Wiki定义“大数据”是利用常用软件工具捕获、管理和处理数据所耗的时间超过可容忍时间的数据集［1］。Gartner这样定义“：大数据”是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产［2］。也有研究者形象化地描述“大数据”是未来的新石油。不同的定义基本都是根据大数据的特征归纳阐述给出。比较具有代表性的是4V定义，认为大数据具有4个特点：规模性（volume）、多样性（variety）、高速性（velocity）和价值性（value）。即数据规模巨大，从TB级跃升到PB级；数据类型多样，包含结构化、半结构化和非结构化的多种数据类型；高效的数据处理能力及蕴含着极高的价值。
2大数据时代图书馆信息安全面临的威胁
大数据时代，数据资源将逐渐成为图书馆最重要的资产之一，决策行为将在数据分析的基础上做出。作为以数据分析利用和信息服务为己任的图书馆，它的信息安全将面临着大数据带来的挑战。
2.1存储安全问题
图书馆关注的数据已不仅限于书目信息、读者信息、电子期刊等业务数据，还延伸到微信、微博、移动网络等读者活动中产生的很难估量的社会化数据。如此庞大的数据集对图书馆的存储、软硬件设施是个考验。如何防止这些数据丢失、损毁、被非法盗取及利用是图书馆安全存储面临的一项挑战。另外，大数据环境下的图书馆为了降低成本，通常会将数据存储在云端，云的开放性，海量用户共存性等都带来了潜在的威胁。
2.2网络安全问题
图书馆是以网络为基础来传递信息和数字资源，为读者提供服务。在网络上，大数据成为更易被攻击的显著目标。图书馆的“大数据”不仅包含了海量数据资源，还包含了读者行为、敏感数据等，这些海量的信息资源将吸引更多的攻击者，也使大数据成为更有吸引力的目标。另外，黑客利用大数据发起的僵尸网络攻击，能够同时控制百万台机器，这是传统单点攻击做不到的。利用大数据，黑客能够发动APT攻击，APT的攻击代码隐藏在大数据中，很难被检测到。
2.3隐私泄露问题
社交网络、微博、移动网络等这些信息服务新形式的快速发展，互联网每时每刻都在产生海量的数据。读者的个人数据可能被任意搜索、获取，这将极大地威胁隐私安全。一方面，图书馆的海量数据信息资源、读者信息、读者行为、科研信息等数据高度集中，即使不被盗取滥用，也增加了数据泄露的风险。另一方面，对于某些重要数据、敏感数据以及隐私数据的挖掘分析，其使用权没有明确界定，这都将会涉及隐私泄露。
2.4知识产权问题
大数据时代，图书馆虽然会把越来越多的数据资源交给“云”提供商代为托管，但是图书馆应完全拥有这些被托管数据资源的知识产权。然而现实中“，云”提供商利用大数据技术对图书馆的数据资源进行挖掘、发现、分析进而整合成新的数据产品加以利用，本该由图书馆所唯一拥有的数据，一旦被“云”提供商开发成产品，知识产权的界定就成为图书馆要面临的新难题。
3大数据时代图书馆信息安全应对策略
大数据资源将成为图书馆的核心资产。图书馆在利用数据处理、数据挖掘、数据分析等技术获取大数据蕴藏的高价值，创新服务模式，提高服务质量的同时，应重点考虑如何确保数据资源存储安全，如何降低网络安全威胁，如何防止隐私泄露等。大数据时代的图书馆应首先从技术层面保障存储安全，提高网络安全防范技术；其次，建立数据监管体系，对读者和图书馆的重要数据、敏感数据、隐私数据进行监管；最后，加强图书馆信息安全制度和相关政策法规建设。
3.1保障存储安全
图书馆的数据资源在无限增长，规模日益庞大，保障这些数据资源的安全存储显得尤为重要，同时对硬件设施也是巨大考验。现有的存储系统无法充分有效地存储、管理、分析大数据，限制了数据的增长。大数据时代的图书馆为了降低运维成本，缓解硬件设施压力，应考虑将数据和信息存储在云端，利用云存储实现数据的存储、管理以及分析。云存储，即基于云计算的存储系统，其可扩展性、灵活性、运算高效性能够解决大数据存储和管理存在的问题。但是，云存储具有数据规模海量、管理高度集中、系统规模巨大、平台开放复杂等特点，这些都将对信息安全带来威胁。因此，保障云安全是大数据时代图书馆信息安全的基础。图书馆作为云存储服务用户，最关心的就是存储在云端的数据是否完整安全，是否有人非法访问，以及当合法访问这些数据时是否能获得有效且正确的数据。因此，应重点研究运用身份认证、加密存储、数据灾备这3种技术手段来保障云安全。
（1）身份认证。
加强图书馆云存储上数据的管理，实行身份认证，确保管理员、读者用户、云存储服务提供商等经过认证获得访问权限后，才可管理、分析、访问“云”上的数据资源。云存储具有跨平台、异构、分布式等特点，为了提高管理员、用户的访问效率，应建立有效的单点登录统一身份认证系统，支持各图书馆云存储之间共享认证服务和用户身份信息，减少重复验证带来的运行开销。
（2）加密存储。
对文件和数据进行加密保存，确保图书馆云存储上的数据资源在存储和传输过程中，不被意外或非意外损毁、丢失、处理及非法利用。加密存储主要包含两部分工作：一是密钥的管理和产生，二是应用密钥对数据进行加密存储和解密读取。云存储系统为每位注册用户生成一个解密密钥，系统将数据加密存储在数据中心，用户读取加密数据后，利用自己的解密密钥恢复数据，得到原始数据。这一过程对存储性能和网络传输效率会有一定影响，因此图书馆一方面要加快对加密存储技术的研究；另一方面可以考虑先只对重要数据、敏感数据、个人信息数据进行加密存储。
（3）数据灾备。
云计算技术对于数据灾备具有天生的优势。将虚拟化技术、分布式技术和云计算技术结合可实现多点备份、数据自动冗余存储、云节点无单点故障数据级灾备。图书馆可以利用云存储在不同的地方建设两个及以上的图书馆云存储数据中心，构成一个跨地域的统一存储平台，各业务部门和每个用户都可以共享共用这些数据。保证只要有一个数据中心完整，所有数据就不会丢失且能够提供持续服务。
3.2提高网络安全防护技术
随着图书馆数据资源总量的增加和新型社交网络下读者原创数据爆炸性增长，网络在线数据呈现急剧增长的趋势，导致黑客的攻击欲望比以往更为强烈，其手段和工具也更为复杂、更加专业。大数据对图书馆网络安全策略提出更高的要求，从技术层面来说，图书馆网络安全策略包括漏洞扫描、入侵检测、访问控制和网络安全审计4种技术手段，任何一个单一的防范手段都无法保障图书馆网络的安全性。
（1）漏洞扫描。
漏洞扫描包括检测路由器、交换机、防火墙、各应用服务器OS、应用系统以及工作人员用机的安全补丁、系统漏洞、病毒感染等问题。漏洞扫描系统应及时发现系统漏洞、木马、病毒、蠕虫、后门程序、网络攻击、ARP等，并提供修复、查杀、拦截、防御的有效工具，同时能够对图书馆整个网络系统进行风险评估，以便采取相应措施及时消除系统中的安全隐患。与以往的漏洞扫描不同的是，大数据时代，对于海量数据的扫描，将会花费很长的时间，因此需要研究解决如何提高网络海量数据检测扫描的精确度和速度。
（2）入侵检测。
随着图书馆信息资源和数据资源共建共享步伐的加快，图书馆私有云和行业云的建设加快，网络应用范围在不断扩大，来自校园网内部和外部的黑客攻击、非法访问等安全问题与日俱增，因此对恶意入侵的检测与防范刻不容缓。大数据对信息安全是把双刃剑，应利用大数据的分析技术，通过分析来源信息，能够自动确定网络异常。进一步研究更有效的检测手段，完成APT高端检测，做到多点、长时、多类型的检测。
（3）访问控制。
接入图书馆网络的用户，在使用海量数据资源之前，必须进行身份认证和权限划分，用户通过认证获得授权之后，才可以根据自己的权限访问相应的数据资源和应用系统，获取相关的数据分析结果等。采用单点、统一认证方式，并结合PMI权限控制技术，加大认证加密技术研究，有效控制不同用户分不同级别访问管理数据、访问数据、获取数据以及应用大数据分析结果。
（4）网络安全审计。
相比入侵检测系统，网络安全审计没有实时性要求，因此可以对海量的服务器运行日志、数据库操作记录、系统活动等历史数据进行分析，并且可以利用大数据进行更加精细和复杂的分析，发现更多的黑客攻击种类，其误报率也将低于传统的入侵检测。
3.3建立数据安全监管机制
大数据关键技术的快速发展，为图书馆大数据的存储与分析奠定了基础，大数据将成为图书馆的重要资产。但是，海量数据和数据分析结果一旦泄露，相对于以往，对读者个人甚至整个图书馆界将会造成巨大的经济损失，还可能导致声誉受损，严重的还要承担相关法律责任。大数据安全不仅是技术问题，更是管理问题。因此，大数据时代，图书馆除了要从技术上实现存储安全、云安全、网络安全等方式来抵御外来的信息安全威胁，更需要加强在数据安全监管、数据资源共享机制、数据隐私保护、敏感数据审计等方面的制度建设，从管理上防止图书馆核心数据、隐私数据和敏感数据的泄露。力图建立贯穿于数据生命周期的数据监管机制。在技术层面，运用先进的信息技术手段开展数据监管工作，如利用现有隐理、数据预处理等技术保障数据在使用和传输中能够拒绝服务攻击、数据传输机密性及DNS安全等。在管理层面，提高图书馆工作人员的信息安全意识，加强各业务部门内部管理，明确重要数据库的范围，创新有效科学的数据监管手段与方法，制定终端设备尤其是移动终端的安全使用规程，制定并完善重要数据、敏感数据、隐私数据的安全操作和管理制度，规范大数据的使用方法和流程。
3.4加强图书馆信息安全制度建设
依据信息安全管理国际标准ISO27000，明确大数据时代图书馆的实际安全需求和安全目标，量化各类数据资源的安全指标，建立全方位、立体、深度的信息安全防御体系。以信息安全防御体系为基础，建立信息安全责任人负责制的组织机构；制定日常安全运维制度，包括存储、业务系统以及各应用系统的安全运行监控制度、数据监管制度、移动终端检测制度、网络安全制度等；制定应急响应制度，包括数据灾备制度、数据恢复制度、故障系统恢复制度等。对于存储在云端的数据，建立数据共享制度和机密保护制度。根据保密级别、共享级别、开放级别等明确访问权限等级划分，制定数据的访问、检索、下载、分析等方面的规定；建立身份认证和权限控制机制，控制非法授权访问数据；制定数据云存储的安全规定，加密关键数据；制定数据所有权条款，防止“云”提供商第三方泄密。建立相应的法律政策保护数据利用时涉及的知识产权，保障数据资源的合理合法使用，维护图书馆利益，保护知识产权。
4结语
一、学校领导高度重视、组织落实是做好校园网络安全管理工作的重要前提
校党政主要领导和分管安全保卫工作的校领导高度重视网络与信息安全工作，经常在各种会议上强调做好校园网络与信息安全工作对维护学校安全稳定的极端重要性，对安全保卫部门上报的有关网络动态信息认真阅读和研判，并及时作出重要处理批示，在学校每次召开的有关维护校园稳定的工作会议上都要对加强校园网的安全管理与监控工作进行专门部署。学校还制定下发了《关于开展“平安校园”创建活动的实施意见》，其中指出“要坚持正确的舆论导向，防止信息传媒的管理失控，要健全网络管理机构，落实管理措施，强化网上监控”，为做好校园网络与信息的安全管理工作明确了目标和方法。
二、各职能部门分工明确、互相配合是做好校园网络安全管理工作的重要条件
在维护校园网络安全方面，学校有关职能部门根据自身的工作性质有着明确的分工。如校宣传部门主要负责全校网络安全教育，网络信息动态的监查、跟踪和掌握并进行相关处置;校网络主管部门主要负责加强整个校园网络技术方面的安全防范、保障、封堵和指导，采用合理的技术手段对网络运行安全进行有效的监查，为查处网络不良、有害信息及案事件提供技术支持;保卫部门主要负责对网络不良、有害信息及案事件进行查处，并根据自身工作性质对网络信息进行监查。各职能部门既各司其职又密切配合、协作形成合力，为做好校园网络安全工作提供了重要的基础条件，使工作更为顺利、效率更为提高、成效更为明显。
三、建全各项管理规章制度是做好校园网络安全管理工作的重要基础
学校根据国家网络与信息安全管理的有关法律法规，并结合学校的实际情况，制定了校园网络安全管理条例与规定，并根据上级有关规定、形势发展和学校具体实际情况，不断予以修订完善。各责任单位则根据学校有关规定和本单位的实际情况，制定网络与信息安全管理方面的各项具体规章制度，如日常安全管理制度、信息审核制度、安全检查制度、网管员工作职责等。由此校园网络与信息安全管理工作做到有章可依，有章可循，不断制度化、规范化。
四、建立和完善有效的管理机制是做好校园网络与信息安全管理工作的保障
(一)实行分级管理、逐级负责制
学校成立网络与信息安全领导小组，由主要领导担任双组长、分管领导担任副组长。领导小组定期不定期地对校园网络安全情况进行分析研判，研究制定涉及网络安全方面重大问题的对策、措施，并对一段时期内的网络与信息安全工作作出部署。领导小组下设办公室，主要负责全校网络与信息安全工作的管理和协调。各学院、部门、单位应当相应成立网络与信息安全工作小组，其主要负责人为第一责任人，并指定专人担任网管员，负责本级网络与信息安全工作。
(二)实行安全责任制
学校与各学院、部门、单位签订网络与信息安全责任书，各责任单位要将网络与信息安全管理责任层层落实到所属各部门和人员。其中，各责任单位的网管员，具体负责本单位日常的网络与信息安全工作，网络与信息系统的主管单位承担系统的安全管理和监督责任，运行维护单位和个人承担系统的技术安全保障责任，使用单位和个人承担系统操作与信息内容的直接安全责任。坚持“谁主管、谁负责，谁运行、谁负责”的原则，切实落实网络安全工作责任制。
(三)实行一票否决制
校园网络与信息安全工作实行一票否决制。对在网络与信息安全方面存在重大隐患和问题而不认真及时进行整改，或发生重大网络与信息安全事件的相关单位和责任人，实行一票否决制，取消当年评先评优及个人晋职晋级的资格。
(四)实行责任追究制
对网络与信息安全责任不落实、日常安全管理措施不落实、安全教育不到位等，导致网络与信息重大安全事故或事件的，学校将根据网络与信息安全责任书的有关规定，追究相关单位和责任人的责任，并予以全校通报批评。对触犯法律的，则移交司法机关依法处理。
(五)实行值班备勤制
各责任单位要指定专人进行日常网络与信息安全保障工作，确保24小时通讯联系保持畅通。在重要、敏感时期，重大节假日期间，安排值班人员，一旦发生问题快速反应，及时处置。
五、强化网络安全形势的预测研判是做好校园网络安全管理工作的重要环节
学校各职能部门密切关注国内外发生的重大事件及学校出台的重大举措，结合当下校园网络的具体实际并根据网络本身的特点，对一段时期内校园网络的安全形势进行分析研判并上报学校，为领导科学决策提供依据。特别是在每年重要敏感时间节点时，对校园网络安全形势进行预测研判并提出有关防范措施上报学校，使网络安全防范工作更趋主动和有的放矢，例如，在北京奥运会、上海世博会、G20峰会等时期，均及时对校园网络可能出现的舆情、动态预作研判，将防范工作做在前面。
六、切实加强宣传教育活动是做好校园网络安全管理工作的重要内容
【关键词】企业网络；信息安全；内部威胁；对策
1企业网络信息安全的内部威胁的分析
1.1随意更改IP地址
企业网络使用者对于计算机IP地址的更改是常见的信息安全问题，一方面更改IP地址后，可能与其他计算机产生地址冲突，造成他人无法正常使用的问题，另一方面更改IP的行为将使监控系统无法对计算机的网络使用进行追溯，不能准确掌握设备运行状况，出现异常运行等问题难以进行核查。
1.2私自连接互联网
企业内部人员通过拨号或宽带连接的形式，将计算机接入互联网私自浏览网络信息，使企业内部网络与外界网络环境的隔离状态被打破，原有设置的防火墙等病毒防护体系不能有效发挥作用，部分木马、病毒将以接入外网的计算机为跳板，进而侵入企业网络内部的其他计算机。
1.3随意接入移动存储设备
移动硬盘、U盘等移动存储设备的接入是当前企业内部网络信息安全的最大隐患，部分企业内部人员接入的移动存储设备已经感染了病毒，而插入计算机的时候又未能进行有效的病毒查杀，这使得病毒直接侵入企业计算机，形成企业信息数据的内外网间接地交换，造成机密数据的泄漏。
1.4不良软件的安装
部分企业尽管投入了大量资金在内部网络建设与信息安全保护体系构建之中，但受版权意识不足、软件购置资金较少等原因的限制，一些企业在计算机上安装的是盗版、山寨软件，这些软件一方面不能保证计算机的正常使用需求，对企业内部网络的运行造成一定影响，同时这些软件还可能预装了部分插件，用于获取企业内部资料信息，这都对内网计算机形成了一定的威胁。
1.5人为泄密或窃取内网数据资料
受管理制度不完善、监控力度不完善等因素的影响，一些内部人员在企业内部网络中获取了这些数据信息，通过携带的移动存储设备进行下载保存，或者连接到外网进行散播，这是极为严重的企业网络信息安全的内部威胁问题。
2企业网络信息安全的内部威胁成因分析
2.1企业网络信息安全技术方面
我国计算机与网络科学技术的研究相对滞后，在计算机安全防护系统和软件方面的开发仍然无法满足企业的实际需求，缺少适合网络内部和桌面电脑的信息安全产品，这使得当前企业网络内部监控与防护工作存在这漏洞，使企业管理人员不能有效应对外部入侵，同时不能对企业内部人员的操作行为进行监控管理。
2.2企业网络信息安全管理方面
在企业中，内部员工对于信息安全缺乏准确的认知，计算机和内部网络的使用较为随意，这给企业网络安全带来了极大的隐患。同时，企业信息管理部门不能从自身实际情况出发，完善内部数据资料管理体系，在内部网络使用上没有相应的用户认证以及权限管理，信息资料也没有进行密级划定，任何人都能随意浏览敏感信息。另外，当前企业网络信息安全的内部威胁大多产生于内部员工，企业忽视了对员工的信息安全管理，部分离职员工仍能够登录内部网络，这使得内部网络存在着极大的泄密风险。
3企业网络信息安全的内部威胁解决对策
3.1管控企业内部用户网络操作行为
对企业内部用户网络操作行为的管控是避免出现内部威胁的重要方法，该方法能够有效避免企业网络资源非法使用的风险。企业网络管理部门可在内部计算机上安装桌面监控软件，为企业网络信息安全管理构筑首层访问控制，从而实现既定用户在既定时间内通过既定计算机访问既定数据资源的控制。企业应对内部用户或用户组进行权限管理，将内部信息数据进行密级划分，将不同用户或用户组能够访问的文件和可以执行的操作进行限定。同时，在用户登录过程中应使用密码策略，提高密码复杂性，设置口令锁定服务器控制台，杜绝密码被非法修改的风险。
3.2提高企业网络安全技术水平
首先管理部门应为企业网络构建防火墙，对计算机网络进程实施跟踪，从而判断访问网络进程的合法性，对非法访问进行拦截。同时，将企业网络IP地址与计算机MAC地址绑定，避免IP地址更改带来的网络冲，同时对各计算机的网络行为进行有效追踪，提高病毒传播与泄密问题的追溯效率。另外，可通过计算机属性安全控制的方式，降低用户对目录和文件的误删除和修改风险。最后，应对企业网络连接的计算机进行彻底的病毒查杀，杜绝病毒的内部蔓延。
3.3建立信息安全内部威胁管理制度
企业网络信息安全管理工作的重点之一，就是制定科学而完善的信息安全管理制度，并将执行措施落到实处。其中，针对部分企业人员将内部机密资料带离企业的行为，在情况合理的条件下，应进行规范化的登记记录。针对企业网络文件保存，应制定规律的备份周期，将数据信息进行汇总复制加以储存。针对离职员工，应禁止其带走任何企业文件资料，同时对其内部网络登录账号进行注销，防止离职员工再次登入内部网络。
3.4强化企业人员网络安全培训
加强安全知识培训，使每位计算机使用者掌握一定的安全知识，至少能够掌握如何备份本地的数据，保证本地数据信息的安全可靠。加大对计算机信息系统的安全管理，防范计算机信息系统泄密事件的发生。加强网络知识培训，通过培训，掌握IP地址的配置、数据的共享等网络基本知识，树立良好的计算机使用习惯。
4结语
综上所述，信息安全是当前企业网络应用和管理工作的要点之一，企业应严格管控企业内部用户网络操作行为，提高企业网络安全技术水平，建立信息安全内部威胁管理制度，强化企业人员网络安全培训，进而对企业网络信息安全内部威胁进行全面控制，从而提高敏感信息与机密资料的安全性。
参考文献
[1]张连予.企业级信息网络安全的设计与实现[D].吉林大学,2012.
关键词： 网络安全 安全需求 措施
1 校园网的概念
简单地说，校园网络是“校校通”项目的基础，是为学院教师和学生提供教学，科研等综合信息服务的宽带多媒体。根据上述要求，校园网必须是一个宽带，互动功能和高度专业化的局域网络。
2 校园网的特点
校园网的设计应具备以下特点：
1）提供高速网络连接；2）满足复杂的信息结构；3）强大的可靠性和安全性保证；4）操作方便，易管理；5）提供可运营的特性；6）经济实用。
3 校园网络系统信息安全需求
3.1 用户安全
用户安全分成两个层次即管理员用户安全和业务用户安全。
1）管理员用户拥有校园网的最高执行权限，因此对信息系统的安全负有最大的执行责任。应该制定相应的管理制度，例如对管理员的政治素质和网络信息安全技术管理的业务素质，对于涉及到某大学的网络安全策略配置、调整、审计信息调阅等重要操作，应实行多人参与措施等等。
2）业务用户必须在管理员分配的权限内使用校园网资源和进行操作，严禁超越权限使用资源和泄露、转让合法权限，需要对业务人员进行岗前安全培训。
3.2 网络硬环境安全
通过调研分析，初步定为有以下需求：
1）校园网与教育网的网络连接安全二需要在连接处，对进/出的数据包进行访问控制与隔离，重点对源地址为教育网，而目的地址为某大学的数据包进行严格的控制。2）校园网中，教师/学生宿舍网络与其他网络连接的网络安全。3）校园网中，教学单位网络与其他网络的网络连接安全。4）校园网中，行政办公网络与其他网络的网络连接安全。5）校园网中，网络管理中心网络与其他网络的网络连接安全。6）校园网中，公众服务器所在的网络与其他网络的网络连接安全。7）各个专用的业务子网的安全，即按信息的敏感程度，将各教学单位的网络和行政办公网络划分为多个子网，例如：专用业务子网（财务处、教务处、人事部等）和普通子网，对这些专用业务子网提供网络连接控制。
3.3 网络软环境安全
网络软环境安全即校园网的应用环境安全。对于一些涉及到有敏感信息的业务专用网，如：财务处、教务处、人事处等等，必须确保这些子网的信息安全，包括：防病毒、数据备份与灾难恢复、规范网络通信秩序、对保存有敏感信息的重要服务器软/硬件资源进行层次化监控，防止敏感信息被窃取。
3.4 传输安全
数据的传输安全，主要是指校园网内部的传输安全、校园网与教育网之间的数据传输安全以及校园网与老校区之间的数据传输安全。
4 校园网络系统控制安全措施
4.1 通过使用访问控制及内外网的隔离
访问控制体现在如下几个方面：
1）要制订严格的规章管理制度：可制定的相应：《用户授权实施细则》、《口令字及账户管理规范》、《权限管埋制度》。例如在内网办公系统中使用的用户登录及管理模块就是基于这些制度创建。
2）要配备相应的软硬件安全设备：在内部网与外部网之间，在不同网络或网络安全域之间信息的唯一出入口设置防火墙。设置防火墙就是实现内外网的隔离与访问控制，保护内部网安全的最主要、同时也是最快捷、最节省的措施之一。防火墙一般具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和报警。防火墙主要类型有包过滤型，包过滤防火墙就是利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能依据我们制定安全防范策略来控制（允许、拒绝、监测）出入网络的信息流，也可实现网络IP地址转换（NAT）、审记与实时告警等功能。因为防火墙安装在被保护网络与路由器之间的通道上，所有也对被保护网络和外部网络起到隔离作用。
